ITPartners+

Highlights der Fallstudie

In den frühen Morgenstunden eines Donnerstagmorgens im Frühling sah sich ITPartners+ mit einer großen Herausforderung im Bereich der Cybersicherheit konfrontiert: einem Ransomware-Angriff, der auf einen ihrer Kunden abzielte. Der Angriff wurde von der Ransomware-Gruppe „Akira“ gestartet. Die Angreifer verschwendeten keine Zeit und begannen sofort damit, kritische Server zu verschlüsseln und versuchten, sich so schnell wie möglich im Netzwerk auszubreiten. Der Zeitpunkt des Angriffs, kurz vor dem Memorial-Day-Feiertagswochenende, war ein gängiger strategischer Schachzug von Angreifern, um die Wahrscheinlichkeit einer Lösegeldzahlung zu erhöhen.

Chad McDonald, CTO von ITPartners+, erinnert sich: „Wir hatten schon andere Cybervorfälle, aber keinen in der Größenordnung eines Ransomware-Angriffs. Das war das erste Mal, dass wir miterlebt haben, wie Ransomware eine Umgebung aktiv angegriffen hat.“

„Das ist einer dieser Fälle, bei denen man wirklich mit dem Gefühl nach Hause gehen kann, dass wir uns für das richtige Produkt und den richtigen Anbieter entschieden haben.“

Casey Postma, Leiter des Bereichs Cybersicherheit bei ITPartners+

Die erste Warnmeldung ging über die Plattform „ RocketCyber “ ein, die ein wesentlicher Bestandteil der Cybersicherheitsmaßnahmen des Unternehmens ist.

Casey Postma, Leiter des Bereichs Cybersicherheit bei ITPartners+, reagierte als Erster. Er entdeckte den Angriff, als er früh aufwachte und seine E-Mails abrief. Casey erklärte: „Ich wachte etwa eine Stunde vor meinem Wecker auf und beschloss, meine E-Mails zu überprüfen. Dabei stellte ich fest, dass Datto Managed SOC ein Notfall-Ticket eingereicht und uns angerufen hatte.“ Diese frühzeitige Erkennung war entscheidend für die Schadensbegrenzung.

Dank der fortschrittlichen Funktionen zur Erkennung von Bedrohungen von Datto wurde um 4:59 Uhr der erste Indikator für eine Kompromittierung identifiziert. Zwischen 5:00 Uhr und 5:15 Uhr isolierten Datto und sein erfahrenes SOC-Team dann über 30 Geräte, um die Ausbreitung zu stoppen und gleichzeitig die schädlichen Prozesse zu beenden. „Die Reaktionszeit betrug etwas mehr als eine Minute vom Beginn der Verschlüsselung, die den Alarm auslöste, bis zur Auslösung der Ransomware-Richtlinie. Das war äußerst beeindruckend“, sagte Casey. Durch diese schnelle Isolierung wurde verhindert, dass sich die Ransomware auf andere Teile des Netzwerks ausbreitete.

Nachdem die unmittelbare Bedrohung eingedämmt war, koordinierte ITPartners+ umfassende Gegenmaßnahmen. Dazu gehörte auch die Kontaktaufnahme mit dem Anbieter der Cybersicherheitsversicherung des Kunden, der ein Forensikteam hinzuzog, um die Situation genauer zu untersuchen. „Es waren die eindeutigen Anzeichen der Akira-Ransomware, die uns klar machten, dass wir es tatsächlich mit einem schwerwiegenden Vorfall zu tun hatten“, erklärte Casey.

Der Wiederherstellungsprozess war aufwendig und erforderte die koordinierte Zusammenarbeit mehrerer Teammitglieder. Durch den Einsatz von Datto EDR und die Unterstützung durch die SOC-Experten von Datto gelang es ITPartners+, die betroffenen Server erfolgreich zu isolieren, wodurch die Ransomware eingedämmt und der Schaden minimiert werden konnte. Chad hob die entscheidende Rolle dieser Tools hervor: „Die Leistungsfähigkeit unseres Teams und die der uns zur Verfügung stehenden Tools – Datto Managed SOC, Datto EDR, Datto BCDR, RMM – trugen maßgeblich dazu bei, die Ausbreitung zu stoppen und die betroffenen Systeme wiederherzustellen.“

Im Rahmen der Wiederherstellung stellte das Team die Server mithilfe von Datto BCDR aus Backups wieder her und stellte so sicher, dass die Daten des Kunden intakt waren und der Betrieb wieder aufgenommen werden konnte. Der Kunde von ITPartners+ war bereits am ersten Arbeitstag nach dem Feiertagswochenende wieder voll einsatzfähig. Diese schnelle Abwicklung war entscheidend, um Ausfallzeiten drastisch zu verkürzen, Verluste zu minimieren und die Geschäftskontinuität zu gewährleisten.

„Die Leistungsfähigkeit unseres Teams und die der uns zur Verfügung stehenden Tools – RocketCyber, Datto EDR, BCDR, RMM – trugen entscheidend dazu bei, die Ausbreitung zu stoppen und die betroffenen Systeme wiederherzustellen.“

Chad McDonald, CTO von ITPartners+

Die Zusammenarbeit zwischen ITPartners+ und Kaseya erwies sich als wirksamer Schutz gegen den Ransomware-Angriff „Akira“: Durch die schnelle Erkennung und Isolierung infizierter Systeme konnten umfangreiche Schäden verhindert und eine zügige Wiederherstellung ermöglicht werden. Der Kunde von ITPartners+ lobte das Unternehmen für seine effektive Reaktion, durch die die potenziellen Auswirkungen des Angriffs erheblich gemindert wurden.

Chad dachte über den Vorfall nach und sagte: „Das ist einer dieser Fälle, in denen man diese Theorie wirklich auf die Probe stellen kann – in denen man entweder mit der Erkenntnis weggeht: ‚Ja, es hat das gebracht, was wir wollten; wir haben ein positives Ergebnis‘, oder mit dem Gefühl, die falsche Entscheidung getroffen zu haben. In diesem Fall waren wir uns einig, dass wir das richtige Produkt und den richtigen Anbieter gewählt hatten.“

ITPartners+ hat einen Ransomware-Angriff, der verheerende Folgen hätte haben können, erfolgreich abgewehrt und damit sein Bekenntnis zu seinen Kernwerten unter Beweis gestellt: Großartige Arbeit leisten, Spaß dabei haben und groß denken. Dank ihres proaktiven Ansatzes in Verbindung mit den fortschrittlichen Funktionen von Datto Managed SOC und Datto EDR konnte der Kunde seinen normalen Betrieb mit minimalen Unterbrechungen wieder aufnehmen.

Diese Fallstudie verdeutlicht, wie wichtig ein kompetentes Team und zuverlässige Cybersicherheits-Tools sind, um sich ständig weiterentwickelnden Cyberbedrohungen wirksam entgegenzutreten.

„Die Reaktionszeit betrug etwas mehr als eine Minute vom Beginn der Verschlüsselung, die den Alarm ausgelöst hat, bis zur Auslösung der Ransomware-Richtlinie. Das war äußerst beeindruckend.“

Casey Postma, Leiter des Bereichs Cybersicherheit bei ITPartners+